使用Firebase onCall可调用函数时context.auth未定义求助

不建议直接从前端传入uid #

前端传入的uid完全可被篡改，恶意用户能伪造其他用户的uid调用函数，导致Stripe验证会话绑定到错误用户，引发安全风险与数据混乱。必须依赖Firebase Functions的context.auth获取可信的用户身份信息。

先排查context.auth为undefined的根本原因 #

你需要先解决已登录用户调用函数时context.auth仍为undefined的问题，常见原因及解决方法如下：

1. 前端未正确等待登录状态
   确保调用云函数前，用户已完成登录，且Firebase Auth状态已确认。可通过onAuthStateChanged监听登录状态，确认用户登录后再执行函数调用：

import { getAuth, onAuthStateChanged } from "firebase/auth";

const fetchClientSecret = async () => {
  const auth = getAuth();
  // 等待确认用户登录状态
  await new Promise((resolve) => {
    const unsubscribe = onAuthStateChanged(auth, (user) => {
      if (user) {
        unsubscribe();
        resolve(user);
      }
    });
  });

  const functions = getFunctions();
  const createVerificationSession = httpsCallable(functions, 'createVerificationSession');
  // 后续调用逻辑
};

2. 云函数版本或配置异常
   你使用的是Firebase Functions v2的onCall，需确保Firebase CLI为最新版本，函数部署正常。同时检查是否手动禁用了函数的身份验证配置（默认启用）。

3. 前后端SDK版本不兼容
   确保前端firebase/functions与firebase/auth的SDK版本，和后端Firebase Functions版本匹配，版本差异可能导致身份信息无法正确传递。

临时传入uid的方案（不推荐） #

若需临时绕过问题，必须在后端对传入的uid做验证，确认其与可信身份一致（但此操作冗余，核心仍需解决context.auth为undefined的问题）：

// 前端调用时传入uid
await createVerificationSession({ uid: auth.currentUser.uid });

// 后端验证逻辑
exports.createVerificationSession = onCall(async (data: any, context: any) => {
  if (!context.auth) {
    throw new functions.https.HttpsError('unauthenticated', '必须登录后调用');
  }
  // 验证传入uid与可信uid一致
  if (data.uid !== context.auth.uid) {
    throw new functions.https.HttpsError('permission-denied', '无效的用户身份');
  }
  // 后续业务逻辑
});

内容的提问来源于stack exchange，提问作者deadant88